ビットコイン（BTC）専門ハードウェアウォレット「コールドカード（COLDCARD）」を提供するコインカイト（Coinkite）社は、2026年7月30日に公表した資産流出事案に伴い、ユーザーデータの取扱方針を一時変更したと発表しました。同社は通常、特定の情報を除いたユーザーデータを120日後に自動消去する仕様を提供していましたが、法的な手続きに伴う記録保管義務により、この自動消去プロセスを一時停止します。プライバシーを重視するユーザーには既存ルールの適用免除オプションを提示しつつ、被害ユーザーへのサポートやシステム監査に注力しています。
法的義務に伴うユーザーデータの保管方針変更
コインカイト社は8月7日、7月30日に公表したセキュリティ事案に関する新たな方針を発表しました。コールドカードの標準的な対応では、ユーザー情報のメールアドレスと居住国以外は120日後に自動的に判別できない状態へ変更（ブランク化）される仕組みとなっており、この期間を短縮できるオプションも用意されていました。
しかし今回の事案に伴う法的義務により、同社は一時的に自動消去プロセスを停止しました。これにより、次の報告があるまではメールアドレスと居住国以外のデータも保持されることになります。同社は、法的手続きに関係する可能性がある記録を保管する必要性が法律で定められていると説明し、保管されたデータはアクセス権限を制限した上で安全に管理し、法的義務以外の目的では使用しないと主張しています。なお、既存のデータ消去ルールを希望するユーザーに対しては今回の適用を免除する対応を取っており、メールでの連絡を呼びかけています。
被害状況の集計とコインカイト側のセキュリティ対応
今回の流出被害においては、脆弱性を悪用した第4波の攻撃が発生するなど影響が拡大しています。ギャラクシー・リサーチ（Galaxy Research）が8日に公開した集計データによると、盗難されたビットコインの総額は1,719 BTC（約176億円）に上ると算出されています。
同社はブルームバーグの取材に対し、プライバシー保護の観点から自社で関連データの収集を行っていないため被害額の数値にはコメントせず、分析は第三者に委ねる姿勢を示しました。現在は被害を受けたユーザーのサポートに集中しているとしています。また、エコシステムに対して行っているセキュリティ監査において、最新の人工知能（AI）モデルを使用することで、重要なソフトウェアシステムから多くのバグを発見したと説明しています。
ポイント
- コールドカードを提供するコインカイト社が、7月30日に公表した資産流出事案を受けてユーザーデータの取扱方針を一時変更しました。
- 通常は120日後に自動消去されるユーザーデータについて、法的な記録保管義務の発生により消去プロセスを一時停止しています。
- プライバシー保護の観点から従来の消去ルール維持を望むユーザーには、メール申請による個別免除の対応を実施しています。
- ギャラクシー・リサーチの8日時点の試算では流出被害が1,719 BTC（約176億円）に拡大しており、コインカイト社はユーザーサポートとAIを活用したセキュリティ監査に注力しています。